「ゴーストジャッキング」攻撃、汚染されたログでAIエージェントを悪用

DEF CON ― Tenetのセキュリティ研究者らが、AIエージェントが信頼するツールを悪用して悪意ある指示を送り込む、新種のAIハイジャック攻撃を実証しました。

このイスラエルのサイバーセキュリティ企業は、6月にステルスモードから脱却し、企業を暴走エージェントから守る事業を展開しています。同社は以前にも、脅威アクターがAIエージェントに供給されるデータを汚染することでその挙動を操作できる手法を実証しており、これを「エージェントジャッキング(Agentjacking)」と呼んでいました。

「ゴーストジャッキング(Ghostjacking)」と名付けられた今回新たに実証された攻撃も、同じ前提に基づいています。すなわち、外部の脅威アクターがログやアラート内にテキストとして指示を仕込み、AIエージェントを不正な動作に誘導できるというものです。

同社によると、この根本的な問題は広範囲に及んでいます。今回の攻撃はCloudflare、Datadog、Sentryという3つの高い信頼を得ているプラットフォームを標的にしています。Cloudflareは全ウェブトラフィックの20%をルーティングしており、Cloudflare・Datadogはそれぞれフォーチュン500企業のほぼ半数に利用されています。また、Sentryは約400万人の開発者から信頼を得ています。

侵害されたエージェントは「Cloudflare上でドメインを乗っ取り、Datadog上でコードを実行してクラウド認証情報を盗み出し、さらにSentry上では一方のAIがもう一方のAIに攻撃者を保証する『内部関係者』へと変貌させた」とTenetは説明しています。

同社によれば、Cloudflareが推奨するセキュリティ設定自体が、攻撃ベクトルの一つに組織をさらしています。不正なリクエストはファイアウォールレベルでブロックされ、一字一句そのままログに記録されるため、攻撃者の悪意ある指示がプレーンテキストとしてログに注入されてしまうのです。

アナリストがAIエージェントにそのイベントの確認を依頼すると、AIはログ内の指示を読み取って実行し、組織のDNS設定を攻撃者が管理するドメインへと書き換えたうえで、問題が解決したと報告してしまいます。

「Claude Codeに対しては10回中9回成功しました。すべてのリクエストはすでにブロックされていたにもかかわらず、ドメインは乗っ取られてしまったのです。[中略]リクエストをブロックするのはCloudflareのマネージドセキュリティルールですが、まさにそのブロックこそが攻撃を運び込む役割を果たしています」とTenetは述べています。

もう一つの攻撃ベクトルは、本来フロントエンド向けであるDatadogのキーを悪用するものです。このキーはしばしば外部に露出したままになっており、同社が実際にインターネット上で発見したそうしたキーは2,700件を超えています。

「そのキーを使って、攻撃者は偽の『緊急診断』アラートを仕込みます。エンジニアがAIエージェントにエラーの確認を依頼すると、エージェントはそのアラートを読み取り、攻撃者のコマンドを実行してしまいます」とTenetは指摘しています。

この攻撃により、Claude Codeはコードを実行させられ、環境変数に含まれる機密情報やクラウド認証情報を外部に流出させられました。

Sentryを狙う場合、攻撃者は巧妙に作り込んだレポートを用います。これはSentryのAIエージェントである「Seer」に読み込まれ、Seerは提示された偽の修正案を自らの提案として採用してしまいます。この修正案がSeerを信頼するコーディングエージェントに渡されると、攻撃者のコードが実行されてしまうのです。

Tenetはまた、別のエージェントが実行する攻撃を考案する際にもAIエージェントを利用したと述べています。

「標的となるAIが拒否するたびに、その拒否の内容から、どのような文言なら受け入れられるかが明らかになっていき、最終的にはAI自身に対して攻撃を実行するに至りました。これは管理されたラボ環境でのテストであり、記憶機能をオフにした2つの独立したAIセッション(一方が攻撃者役、もう一方が標的役)を用いており、互いの存在を認識してはいませんでした」と同社は説明しています。

さらに同社は、Claude Desktopにおいて、リモートサーバーへのデータ流出に悪用され得る脆弱性も発見しました。Anthropicはこの脆弱性を修正済みですが、CVEは発行していないとTenetは述べています。

「Sentry、Cloudflare、Datadogの3件は、それぞれ別個の欠陥ではありません。いずれも同じ構造を持っています。AIが信頼する外部データを読み取り、同じAIがそのデータに基づいて行動を起こせてしまう。この2つの要素が交わる場所には、必ず侵入の糸口が存在するのです。同様のパターンは、この3社にとどまらず、たとえばビルドシステムと連携したSplunkや、Kubernetesと連携したDatadogといった構成でも広く見られます」と同社は指摘しています。